Atak ransomware w firmie — co zrobić w pierwszych godzinach, zanim wezwiesz biegłego
Atak ransomware to sytuacja, w której szybkie, ale nieprzemyślane działania potrafią zniszczyć ślady równie skutecznie jak sam atak. To, co zrobisz w pierwszych godzinach, wpływa bezpośrednio na to, czy później da się ustalić, jak doszło do włamania i jakie dane zostały naruszone.
Odetnij, ale nie wyłączaj
Zainfekowane urządzenia należy jak najszybciej odciąć od sieci — najlepiej fizycznie, poprzez odłączenie kabla lub wyłączenie Wi-Fi. Ważne jednak, aby nie wyłączać ich z zasilania, jeśli nie jest to konieczne: w pamięci operacyjnej mogą znajdować się ślady działania złośliwego oprogramowania, które znikają po restarcie.
Nie formatuj i nie reinstaluj systemu
Naturalnym odruchem jest jak najszybsze przywrócenie działania firmy poprzez reinstalację systemów. To jednak nieodwracalnie niszczy materiał dowodowy potrzebny do ustalenia wektora ataku i zakresu naruszenia danych — reinstalacja powinna nastąpić dopiero po zabezpieczeniu kopii binarnych zaatakowanych nośników.
Zabezpiecz logi, zanim zostaną nadpisane
Logi systemowe, logi zapory sieciowej oraz logi serwera pocztowego często rotują automatycznie i po pewnym czasie są bezpowrotnie nadpisywane. Ich jak najszybsze zabezpieczenie bywa kluczowe dla odtworzenia, w jaki sposób i kiedy doszło do włamania.
Spisz chronologię zdarzeń
Warto od razu zanotować, kto i kiedy zauważył pierwsze objawy ataku, jakie komunikaty się pojawiły oraz jakie działania zostały podjęte — taka chronologia znacząco ułatwia późniejszą analizę i przygotowanie opinii.
Kiedy wezwać biegłego lub informatyka śledczego
Jeśli incydent może wiązać się z odpowiedzialnością wobec kontrahentów, obowiązkiem zgłoszenia naruszenia danych osobowych lub potencjalnym postępowaniem, materiał powinien zostać zabezpieczony metodycznie — na zabezpieczonych kopiach, z udokumentowanym łańcuchem dowodowym — zanim ktokolwiek zacznie "sprzątać" po ataku.